WordPress の有料テーマ Avada に、ログインしていない第三者がサーバー上で PHP を実行できる脆弱性が、Wordfence から 8/25 に公開されました。ThemeForest で 100 万本以上売れたテーマです。
いつもと違うのは、修正版が出たのも同じ 8/25 だという点です。先に修正版が出て、あとから中身が公になる形ではありません。修正版が出るまでは、どのサイトも上げようがありませんでした。
Wordfence の advisory と Avada 公式ドキュメントをもとに、やることだけ整理しました。
取るべき対応
- 外観 > テーマで Avada の版を、プラグイン一覧で Avada Builder（Wordfence の言う Fusion Builder）の版を見る。テーマ 7.16.1 以上とプラグイン 3.16.1 以上がそろって対応済みです。Wordfence は両方そろえて上げるよう書いています
- 古い方があるなら、テーマ、Avada Core、Avada Builder の順に上げる。テーマを 7.16.1 にすると必須プラグインの更新通知が出ます。テーマが済んでいるならプラグインだけで足ります
- 更新通知が管理画面に出てこないなら、製品登録を確認する。Avada は登録済みのサイトにしか更新通知を出しません
- 設定を切って避ける回避策は示されていません
起こったこと
未認証の攻撃者が、ログインもせず、誰かにリンクを踏ませることもなく、サーバー上で任意の PHP を実行できる状態でした。入り口は任意のファイル書き込みで、そこから PHP ファイルを作って動かせます。CVSS は 9.8、CVE-2026-18431 です。ただし 1 つの穴ではありません。単独では何も起こせない 6 つの弱点が、ある 1 つの順番で並んだときだけコード実行までつながります。
原因
Wordfence は技術詳細を伏せていて、出ているのは 6 段の要約だけです。原因はテーマとプラグインの 2 つにまたがっていました。公開のリクエストで受け取った入力が匿名ユーザー向けではない内部の処理まで届き、管理用のメンテナンス処理には十分な認可がありませんでした。そのファイル操作も、書き込み先を絞り切れていません。ThemeFusion のパッチは 6 つ全部を塞いだとされています。
対象者
対象は Avada 7.16 以下と Avada Builder 3.16 以下で、両方が有効なサイトです。Avada は Builder を同梱して必須にしているので、実質は Avada を使っているサイト全部です。
| 対象 | 対象の版 | 修正版 | 公開日（2026） |
|---|---|---|---|
| Avada（テーマ） | 7.16 以下 | 7.16.1 | 8/25 |
| Avada Builder | 3.16 以下 | 3.16.1 | 8/25 |
加えて、成立には「管理者が作った特定のコンテンツ」がサイト上にあることが要ります。ただし中身は公開されていないので、7.16 以下で使っているなら、自分が条件を外れていると判断する材料はありません。外れられるのは Avada を使っていないサイトだけです。
Wordfence を入れているなら、有償版には 7/30 からルールが入っていて、無料版に同じものが届くのは 8/29 です。
7.16 以下で止まっているなら、上げられるうちに上げるのが無難です。